concursos online, un peligro para nuestros datos

CONCURSOS ONLINE, UN PELIGRO PARA NUESTROS DATOS
Luis Delgado J.
Últimamente no paran de aparecer concursos online de distintas marcas que nos invitan a participar
eligiendo nuevos productos, participar en su promoción o desarrollando sobre sus plataformas. En
general, sobre todo si se trata de grandes empresas en las que podemos tener depositada cierta
confianza, no dudamos en participar, pues no hay mucho que hacer y el premio suele ser bastante
interesante. Ahora bien, ¿en realidad nos merece la pena la posibilidad de ganar el premio frente a
brindarle a estas compañías una gran cantidad de datos personales?
Dejando de lado los términos y condiciones que podamos aceptar cuando vamos a participar en un
determinado concurso, me voy a centrar en la seguridad de esos sistemas y la facilidad que pueden
tener los delincuentes de acceder a toda la información que contienen.
Disclaimer:
No me hago responsable del uso que pueda darse de la información que se publica a continuación.
Los ejemplos que se van a dar corresponden a concursos ya finalizados por lo que no supone un
riesgo para los datos de los concursantes recogidos en los mismos.
Antes de empezar, basta decir que podríamos suponer que al encontrarnos ante empresas de cierto
tamaño y visibilidad los concursos gozarían de las medidas de seguridad necesarias para evitar el
acceso a los datos o la manipulación de los mismos pero, viendo lo que ocurrió con Sony y todos los
fallos 'de libro' que se descubrieron en muchos de sus servicios web, no podemos fiarnos de nadie.
El concurso que voy a poner como ejemplo es el llevado a cabo por HP como promoción de sus
impresoras e-print, Generación E-Print. En este concurso se pide a los usuarios que realicen una foto y
la envíen a un email de contacto quedando registrada en el sistema y pudiendo ser votada con el
objetivo de ganar una de las impresoras (o aparecer en el mural final).
La vulnerabilidad se encontraba en el sistema de voto, siendo ésta un Blind-SQLi. Además, la
explotación del mismo era extremadamente sencilla pues era un boolean 'de libro'.
La url afectada era la siguiente:
http://generacioneprint.es/votar.php?id=BSQLi&valor=X
Por lo tanto, era trivial para una persona de moral relajada acceder a la base de datos del concurso y
obtener los datos personales de todos los concursantes.
Ahora bien, ¿era posible modificar el resultado del concurso?
Sorprendentemente se podía alterar el resultado de forma trivial, pues no validaban el contenido de la
variable 'valor' (correspondiente a la puntuación/estrellas que se le daba a la fotografía)
permitiéndonos inyectar el valor que nos interesara (desde aumentar en miles los votos de una
fotografía como el reducir el de otras introduciendo un número negativo). Como podemos ver, no
había que recurrir a ningún método complejo para ser nosotros los ganadores del concurso.
Cabe destacar que la página del concurso no dispone de ningún email o formulario de contacto,
dificultando la notificación de estas vulnerabilidades. Intenté ponerme en contacto a través de Twitter
(el que ponían en la página del concurso) pero no hubo respuesta:
A pesar de que haya hablado únicamente de las vulnerabilidades descubiertas en el concurso de HP
(por ser el único que no sigue activo), cabe destacar que actualmente todos los concursos con los que
me he encontrado (y no son pocos) eran vulnerables a distintos ataques, pudiendo obtener
finalmente todos los datos de los concursantes.
Ya para terminar, muchos de los servicios web de estos concursos son realizados por terceros, lo cual
sorprende que tengan vulnerabilidades tan 'de libro' (sobre todo teniendo en cuenta lo que habrán
cobrado por el desarrollo). Un caso similar al de HP ha ocurrido con Microsoft, aunque en este caso he
podido contactar con ellos y lo están solucionando (los demás pertenecían a empresas de otros
sectores, como p.e Danone).